Prompt Injection в реальных условиях

Трекер публично задокументированных техник prompt injection примерно за последние два года, поддерживаемый Rachel James (cybershujin).

Каждая техника разбита на три элемента prompt injection:

1. Способ доставки — как внедрённые инструкции достигают модели (результат вызова инструмента, внешний веб-сайт, соединение MCP, документ, электронное письмо, изображение и т. д.).
2. Кодирование — обфускация, применённая к полезной нагрузке, если таковая имеется (Base64, leetspeak, невидимые Unicode-символы тегов, гомоглифы, …). Пусто, если полезная нагрузка представляет собой обычный текст или в отчёте это не указано.
3. Поведение при распространении — предназначена ли инъекция для распространения или сохранения (доставляется любому, кто подключается к отравленному MCP-серверу, сохраняется в долговременной/проектной памяти агента, переносится по цепочке вызовов инструментов, заставляет отправлять электронное письмо с дальнейшими инструкциями, …). Пусто, если распространение отсутствует.

Каждая запись также фиксирует модели, против которых подтверждена работоспособность (если таковые имеются), ссылку на источник отчёта и — где известно — источник атаки (исследователь, red team или реальный злоумышленник, от которого она исходит).

Живая панель управления: https://cybershujin.github.io/Prompt-Injection-in-the-Wild/

---

Область охвата и методология

• Входит в охват: техники внедрения состязательных инструкций в LLM или агента на базе LLM, которые были публично задокументированы — исследователями безопасности, red team, вендорами или в виде наблюдаемой активности в реальных условиях. Включены как прямой, так и косвенный (передаваемый через данные) prompt injection.
• Не входит в охват: обобщённые списки слов для jailbreak без механизма доставки/распространения, чистые жалобы на выравнивание моделей и маркетинг без технической сути.
• Никогда не додумывается. Каждая непустая ячейка взята из явного утверждения в цитируемом источнике. Если в отчёте не указано кодирование, поведение при распространении, подтверждённые модели или источник атаки, эта ячейка остаётся пустой — пустая ячейка означает «не указано», а не выведенное «отсутствует».
• Проверка. Каждая запись помечена как Confirmed или Not fully vetted. «Not fully vetted» отмечает запись, источник которой расплывчат, не подтверждён или механизм которой неясен — она выносится на обозрение, а не отбрасывается, чтобы рецензент мог её оценить.
• Класс доказательств — in-the-wild vs. research. Каждая запись помечена как In-the-wild (наблюдаемое реальное злоупотребление или реальный инцидент в продакшене), Research / red-team (демонстрация исследователя безопасности или red team / ответственное раскрытие — реальная работающая техника, но не наблюдаемая в злоупотреблении со стороны атакующего), Vendor advisory или Unclear. Это отдельная ось от проверки: техника может быть Confirmed (проверена и работает), но при этом демонстрироваться только в лаборатории. Учтите: подлинный in-the-wild вредоносный prompt injection всё ещё редко документируется публично, поэтому подавляющее большинство записей здесь — это раскрытия research / red-team — на момент первоначального заполнения 29 из 32 были research/red-team и только 3 были in-the-wild. Используйте фильтр Evidence на панели управления, чтобы выделить случаи из реального мира.
• Обновления. Новые отчёты собираются ежемесячно (Perplexity sonar-deep-research, широкий охват) и предлагаются в виде чернового pull request для рассмотрения мейнтейнером. Ничего не сливается автоматически. См. родственный трекер Threat-Actors-use-of-Artifical-Intelligence с тем же рабочим процессом, применённым к использованию ИИ угрожающими субъектами.

Как строятся данные

Данные находятся только в таблице ниже (этот файл — единственный источник истины). Детерминированный генератор без зависимостей (tools/build_exports.py) компилирует их при каждом коммите в:

• index.html — интерактивная панель управления (обслуживается через GitHub Pages),
• tracker.json — нормализованные машиночитаемые данные,
• stix/prompt-injection-stix2.1.json — пакет STIX 2.1 (каждая техника как attack-pattern, помеченная своим MITRE ATLAS ID и отображением Not fully vetted → низкая достоверность).

Не редактируйте эти три файла вручную; редактируйте таблицу и позвольте CI пересобрать их.

---

Техники